Prompt Injection: Die ungelöste Sicherheitslücke der KI-Agenten
Prompt Injection ist das Einschleusen bösartiger Anweisungen in Inhalte, die eine KI verarbeitet – etwa versteckt in einer Webseite oder einem Kommentar. Weil Sprachmodelle nicht zuverlässig zwischen Nutzerbefehl und untergeschobenem Text unterscheiden, führen KI-Agenten solche Anweisungen mitunter aus. Mit der aktuellen Modellgeneration ist das Problem nicht grundsätzlich lösbar, nur eindämmbar – deshalb gilt: agentische KI-Tools wie KI-Browser vorerst nicht mit sensiblen Konten und Daten nutzen.
Redaktionell aufbereitet aus unseren Originalausgaben. Alle verwendeten Newsletter und externen Quellen sind am Ende des Artikels verlinkt.
Das Wichtigste
- Bei Prompt Injection stehen Angriffsbefehle nicht im Chat, sondern im Inhalt, den die KI liest: auf Webseiten, in Kommentaren, E-Mails oder unsichtbar im Quellcode.
- Die technische Wurzel: Für ein Sprachmodell kommen Systemprompt, Nutzeranweisung und gelesener Kontext als ein gemischter Input an. Eine harte, verlässliche Trennung gibt es nicht.
- Der bekannteste Praxisfall: Brave zeigte 2025, dass Perplexitys KI-Browser Comet über eine in einem Reddit-Kommentar versteckte Anweisung dazu gebracht werden konnte, in der eingeloggten Sitzung des Opfers E-Mail-Adresse und Einmal-Passwörter auszulesen – ausgelöst durch einen harmlosen Klick auf „Seite zusammenfassen“.
- Je fähiger ein Agent (Zugriff auf Logins, Mail, Käufe), desto größer der mögliche Schaden – und je stärker man ihn einschränkt, desto nutzloser wird er. Dieser Zielkonflikt ist der Kern des Problems.
- Praktische Konsequenz: Agentische Browser und ähnliche Tools als Alpha/Beta behandeln – ausprobieren ja, aber nicht mit Konten, Zahlungsdaten oder sensibler Kommunikation verbinden.
Erklärung und Kontext
KI-Browser wie Perplexity Comet, Dia oder die Browser-Ambitionen von OpenAI verfolgen alle dasselbe Ziel: das Interface zum Web mit den Fähigkeiten von KI-Assistenten zu verschmelzen, damit die KI mehrschrittige Aufgaben übernimmt – Flüge buchen, Produkte zum besten Preis kaufen, Formulare ausfüllen.
Genau diese Autonomie schafft eine neue Angriffsfläche. Neben klassischen Fehlern (der falsche Flug wird gebucht) gibt es eine strukturelle Schwachstelle: Prompt Injection – bösartige Anweisungen, die nicht vom Nutzer stammen, sondern in den Inhalten stecken, die der Agent verarbeitet.
Der von Brave dokumentierte Comet-Fall zeigt den Mechanismus in Reinform: In einem Reddit-Kommentar stand eine für Menschen unauffällige Anweisung an das KI-Modell. Klickte die Nutzerin in Comet auf „Seiteninhalt zusammenfassen“, reichte der Browser den Seiteninhalt ungefiltert ans Modell weiter – ohne zwischen Nutzerauftrag und nicht vertrauenswürdigem Webinhalt zu unterscheiden. Das Modell befolgte daraufhin die versteckten Anweisungen und ließ sich in Braves Demonstration dazu bringen, über die eingeloggte Sitzung E-Mail-Adresse und Einmal-Passwort des Opfers zu beschaffen – der Weg zur Kontoübernahme.
Wichtig: Die Anweisung muss für Nutzer nicht einmal sichtbar sein. Sie kann im Quellcode, in weißem Text auf weißem Grund oder in Metadaten stecken.
Warum das Problem so hartnäckig ist
Große Sprachmodelle unterscheiden nicht wirklich zwischen Systemprompt, Nutzeranweisung und Kontext. Am Ende kommt alles als gemischter Input im Modell an. Das macht es extrem einfach, falsche Anweisungen in Inhalten zu verstecken – und extrem schwer, sie zuverlässig herauszufiltern. Anders als bei klassischen Sicherheitslücken gibt es keinen Patch, der die Ursache beseitigt: Die Vermischung von Anweisung und Daten ist kein Implementierungsfehler, sondern die Funktionsweise der Technologie.
Ob das agentische Browser dauerhaft disqualifiziert, ist umstritten. Tech-Blogger Simon Willison – alles andere als ein KI-Gegner – formulierte es drastisch: Er erwarte, dass das gesamte Konzept einer agentischen Browser-Erweiterung „fatally flawed“ sei und nicht sicher gebaut werden könne. Die Gegenposition aus der Entwickler-Community: Sicherheitslücken gebe es immer; es gehe darum, die Eintrittswahrscheinlichkeit zu minimieren – durch robustere Modelle und durch klare Grenzen, welche Aktionen ein Agent überhaupt ohne Rückfrage ausführen darf.
Das eigentliche Dilemma bleibt in beiden Lesarten bestehen: Je mehr man die Fähigkeiten eines KI-Agenten einschränkt, um Sicherheit zu gewinnen, desto weniger nützlich wird er. Zwischen Nützlichkeit und Sicherheit besteht ein möglicherweise unauflösbarer Zielkonflikt.
So schützt man sich praktisch
- Trennung von Ausprobieren und Ernstfall: KI-Browser und Agenten in einer Umgebung ohne eingeloggte Konten testen – nicht im Alltags-Browserprofil mit Mail, Banking und Passwortmanager.
- Berechtigungen minimal halten: Kein Agent braucht standardmäßig Zugriff auf Mail-Postfach und Zahlungsdaten. Wo Tools Freigabestufen anbieten, die restriktivste wählen.
- Bestätigungspflicht für folgenreiche Aktionen: Senden, Kaufen, Löschen, Anmelden – solche Schritte sollte ein Agent nie ohne explizite menschliche Freigabe ausführen dürfen.
- Misstrauen gegenüber „Zusammenfassen“-Funktionen auf nicht vertrauenswürdigen Seiten: Auch eine reine Lese-Aufgabe füttert den Agenten mit fremdem, potenziell präpariertem Inhalt.
Grenzen und Risiken
Diese Empfehlungen reduzieren das Risiko, beseitigen es aber nicht. Auch seriöse Anbieter patchen einzelne Demonstrationen schnell – die Angriffsklasse bleibt. Umgekehrt wäre es falsch, agentische KI pauschal abzuschreiben: Der Nutzen ist real, und die Hersteller investieren massiv in Eindämmung (Sandboxing, Aktionsfreigaben, Kontext-Kennzeichnung). Die ehrliche Zusammenfassung, Stand heute: Die aktuelle Generation der KI-Browser ist als Beta- oder sogar Alpha-Produkt zu verstehen. Ausprobieren, um ein Gefühl für die Möglichkeiten zu bekommen – aber mit kritischen Anwendungen warten.
Häufige Fragen
Was ist der Unterschied zwischen Prompt Injection und Jailbreaking?
Beim Jailbreaking versucht der Nutzer selbst, die Schutzregeln eines Modells zu umgehen. Bei Prompt Injection schleust ein Dritter Anweisungen in Inhalte ein, die die KI im Auftrag des Nutzers verarbeitet – der Nutzer ist hier das Opfer, nicht der Angreifer.
Betrifft Prompt Injection nur KI-Browser?
Nein. Betroffen ist jedes System, in dem ein Sprachmodell fremde Inhalte verarbeitet und daraufhin handeln kann: E-Mail-Assistenten, Agenten mit Dokumentenzugriff, automatisierte Workflows. KI-Browser sind nur der prominenteste Fall, weil sie beides maximal kombinieren: viel fremder Inhalt, viele Handlungsrechte.
Kann bessere KI das Problem lösen?
Bessere Modelle senken die Erfolgsquote von Angriffen, lösen das Grundproblem aber nicht: Solange Anweisungen und Daten im selben Kanal ankommen, bleibt die Verwechslung möglich. Echte Abhilfe bräuchte architektonische Trennung plus harte Aktionsfreigaben – daran arbeitet die Branche, ein Durchbruch steht aus.
Kann ich KI-Browser trotzdem nutzen?
Ja – bewusst. Zum Recherchieren und Ausprobieren spricht wenig dagegen. Kritisch wird es, sobald der Browser in eingeloggten Sitzungen agiert oder Aktionen mit Folgen ausführen darf. Diese Kombination vorerst meiden.